Google OAuth 2.0测试模式下非测试用户可登录问题求助

核心问题 #

应用采用Google OAuth 2.0认证，OAuth同意屏已设为测试模式并添加测试用户，但未注册的非测试用户仍能成功登录，不符合仅允许测试用户访问的预期。已排查Client ID/Secret正确性、redirect_uri匹配、测试模式状态、会话缓存、IAM权限等，均未解决问题。

关键原因 #

Google OAuth的测试模式仅在授权环节对非测试用户做拦截提示，但存在以下边缘情况导致非测试用户绕过限制：

1. 用户曾在应用切换到测试模式前授权过该应用，浏览器保留了授权会话；
2. 应用端未在OAuth回调后主动校验用户是否属于测试列表；
3. 授权流程未强制触发账号选择，非测试用户直接通过已登录的Google账号跳转进入。

解决方案 #

1. 应用端强制校验用户邮箱 #

这是最可靠的解决方式，无论Google授权环节是否拦截，都在应用层对用户身份做二次校验：

• 在OAuth回调流程中，通过Google userinfo接口获取用户邮箱（需确保请求了openid email scope）；
• 将获取到的邮箱与Google Cloud Console中配置的测试用户列表精确匹配（注意大小写、邮箱后缀差异，如gmail.com和googlemail.com）；
• 若用户邮箱不在测试列表内，直接拒绝登录并跳转至未授权页面。

示例代码（以Node.js为例）：

// 假设已通过OAuth获取用户信息
const userEmail = userInfo.email.toLowerCase();
// 测试用户列表（可从配置文件/数据库读取）
const allowedTestUsers = ['test_user1@gmail.com', 'test_user2@company.com'];

if (!allowedTestUsers.includes(userEmail)) {
  res.status(403).redirect('/unauthorized');
  return;
}
// 校验通过，创建用户会话
req.session.user = userInfo;
res.redirect('/dashboard');

2. 优化OAuth授权请求参数 #

强制触发账号选择流程，避免非测试用户通过已登录的Google账号直接跳过授权校验：

• 在构造OAuth授权URL时，添加prompt=select_account参数，确保用户必须选择账号并触发授权校验流程；
• 可选添加access_type=offline参数，避免长期缓存授权会话。

3. 重新确认Google Cloud Console配置 #

• 检查OAuth同意屏的发布状态是否确实为「测试中」，而非「已发布」；
• 核对测试用户列表中的邮箱是否完全准确，无拼写错误或格式问题；
• 确认应用使用的Client ID与该测试模式同意屏关联的项目完全匹配。

4. 清除残留授权会话 #

让非测试用户完全退出所有Google账号后，使用隐身模式重新测试，避免浏览器保留旧的授权缓存。

内容的提问来源于stack exchange，提问作者Pablo González